[efraespada]

El endpoint oficial del instalador de Codex devuelve HTTP 404 y bloquea la creación de ramas y las revisiones nativas antes de ejecutar el agente. Esta corrección permite una única descarga de recuperación desde el repositorio oficial openai/codex, fijada a un commit revisado y verificada con SHA-256 antes de ejecutar el script.

Se mantienen el instalador principal, la selección oficial de la versión estable, el aislamiento sin credenciales, los límites de descarga/tiempo y la validación del ejecutable privado. Una descarga de recuperación inválida falla sin ejecutar código; un fallo de ejecución del instalador no cambia de fuente ni proveedor. Cursor y OpenCode mantienen su comportamiento. Incluye SDD, catálogo, documentación operativa y bundles regenerados.

El audit obligatorio detectó además GHSA-xjj6-f33q-929c en la dependencia transitiva undici. El lockfile y los bundles usan ahora undici 6.29.1 dentro del mismo major; pnpm audit --prod --audit-level=high termina sin vulnerabilidades conocidas. Se conserva el umbral de seguridad.

Validación local: 711 suites y 11.903 tests completos correctos con los hooks activos; 464 tests específicos de runtime/contratos; tipos, lint y validadores de especificaciones, workflows, documentación y paquete. Las 13 nuevas regresiones cubren recuperación, integridad, origen inmutable, límites, ejecución fallida y aislamiento entre proveedores. Instalación oficial real en macOS ARM64: codex-cli 0.164.0, exec --help correcto, sin credenciales ni tareas del agente; instalación privada eliminada al terminar. Los checks completos y la revisión del head actual se exigen antes del merge.

Recuperación excepcional autorizada por el mantenedor: rama bugfix/680-codex-installer-recovery desde develop@d1ad9f126d71a4e869632d20de27c944efcf6bc1, tras fallar la creación automática en el run 40033060064. La reconciliación se registra en la issue. Esta PR no publica versiones ni mueve tags.

Closes #680

[docs-page]

To preview the documentation for this pull request, visit the following URL:

docs.page/vypdev/copilot~681

Documentation is deployed and generated using docs.page

[vypbot]

Copilot approval · Human review needed

Status: A protected workflow, policy, or trust-boundary file changed.
Completed: 1/1 observed checks succeeded; Bugbot complete.
Action required: Ask a human reviewer to decide.
Impact: No new approval is confirmed for this revision.
See checks

Technical evidence

Revision: 4e0177e0c337; base: d1ad9f126d71; reason: protected-path.

[vypbot]

Bugbot: review complete

Current status: No active findings on 4e0177e.

Pull request · Verified commit · Workflow run

[codecov-commenter]

Codecov Report

❌ Patch coverage is 82.35294% with 3 lines in your changes missing coverage. Please review.
✅ Project coverage is 94.14%. Comparing base (274db40) to head (4e0177e).
⚠️ Report is 1639 commits behind head on develop.

Files with missing lines	Patch %	Lines
.../infrastructure/agents/agent_official_installer.ts	82.35%	0 Missing and 3 partials ⚠️

Additional details and impacted files

@@             Coverage Diff             @@
##           develop     #681      +/-   ##
===========================================
+ Coverage    90.94%   94.14%   +3.19%     
===========================================
  Files          135      974     +839     
  Lines         6251    31653   +25402     
  Branches      1338     9296    +7958     
===========================================
+ Hits          5685    29799   +24114     
- Misses         172      707     +535     
- Partials       394     1147     +753     

Files with missing lines	Coverage Δ
...rc/infrastructure/agents/agent_runtime_manifest.ts	100.00% <ø> (ø)
.../infrastructure/agents/agent_official_installer.ts	49.50% <82.35%> (ø)

... and 1039 files with indirect coverage changes

🚀 New features to boost your workflow:

• ❄️ Test Analytics: Detect flaky tests, report on failures, and find test suite problems.
• 📦 JS Bundle Analysis: Save yourself from yourself by tracking and limiting bundle sizes in JS merges.